Análises

Versões do servidor deepstream anteriores à 10.0.5 contêm uma falha de poluição de protótipo (CWE-1321) que pode ser explorada por qualquer usuário autenticado com permissão de escrita em algum registro para potencial escalonamento de privilégios. A CNA do GitHub atribui nota 9.9 (crítica) no CVSS 3.1, e a correção está na versão 10.0.5.

A CVE-2025-62493 é uma leitura de heap fora dos limites na função js_bigint_to_string1 do motor QuickJS, causada por um erro de uma unidade no cálculo do número de dígitos necessários para converter um BigInt em string. O registro a classifica como CWE-125, com pontuação CVSS 3.1 de 6.5 na NVD e CVSS 4.0 de 5.9 informado pelo Google. As fontes consultadas não mostram exploração confirmada nem inclusão no catálogo KEV da CISA.

A CVE-2026-40624 é uma falha de validação inadequada de entrada nas câmeras AVer PTC500S, PTC115, PTC500+ e PTC115+. Ela pode permitir que um atacante remoto e não autenticado execute código arbitrário por meio de uma requisição web especialmente criada, com pontuação crítica de 9.8 no CVSS 3.1. Não há exploração confirmada nas fontes consultadas.

Dois endpoints do SQL Editor do pgAdmin 4 em modo servidor não exigiam login e alcançam uma rotina de desserialização pickle, afetando versões a partir da 6.9 e anteriores à 9.16. A execução remota de código exige ainda conhecer a SECRET_KEY do Flask e ter escrita no diretório de sessões, então a falha amplia um comprometimento parcial já existente. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-47647 é uma falha de controle de acesso inadequado (CWE-284) no Microsoft Dynamics 365 que permite a um atacante autorizado elevar privilégios pela rede. A Microsoft atribuiu nota CVSS 3.1 de 9.9 (crítica), com mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade. Não há exploração confirmada nas fontes consultadas.

A Relyra, biblioteca de Service Provider SAML para Elixir e Phoenix, não verificava criptograficamente as assinaturas SAML nas versões 1.0.0 e 1.1.0, permitindo que asserções forjadas com um NameID escolhido pelo atacante fossem aceitas. A falha é classificada como crítica (CVSS 9.1) e foi corrigida na versão 1.2.0.

O mcp-pinot, servidor MCP em Python para o Apache Pinot, nas versões 3.0.1 e anteriores inicia por padrão um servidor HTTP em 0.0.0.0:8080 sem autenticação. Qualquer cliente com acesso de rede pode acionar ferramentas de consulta SQL, criação de schemas e alteração de configurações de tabelas usando as credenciais do próprio servidor. A falha tem CVSS 3.1 de 10.0 e foi corrigida na versão 3.1.0.

Versões do servidor TURN/STUN Coturn anteriores à 4.10.0 contêm um estouro de buffer na pilha em decode_oauth_token_gcm(), que pode ser acionado por um atacante não autenticado quando o modo --oauth (não padrão) está habilitado. O estouro ocorre antes da verificação AES-GCM, sem exigir conhecimento da chave OAuth, e pode servir como primitiva plausível de execução remota de código. A correção está no Coturn 4.10.0.

Imagens de contêiner Bitnami Cassandra podem manter ativo o superusuário embutido cassandra após a configuração de um administrador personalizado via CASSANDRA_USER, criando um caminho de acesso não intencional com credenciais padrão conhecidas. A CNA classifica o problema como crítico (CVSS 3.1, nota 9.8), e há builds corrigidos indicados para as linhas 4.0, 4.1 e 5.0.

A CVE-2026-38717 é uma falha de injeção de comandos (CWE-77) na função de upload de arquivos dos roteadores industriais InHand Networks IR912 e IR915, que permite a atacantes remotos executar comandos arbitrários como root. Ela é classificada como crítica, com pontuação base CVSS 9.8. Não há exploração confirmada nas fontes consultadas, mas dispositivos expostos devem ser atualizados e isolados com prioridade.

A CVE-2026-38716 é uma falha crítica de injeção de comandos (CWE-77) na função de exportação de aplicações Python dos roteadores industriais InHand Networks IR912 e IR915. Um atacante remoto pode executar comandos arbitrários como root por meio de entrada manipulada. A nota CVSS 3.1 é 9.8, e as fontes consultadas não registram exploração confirmada.

A CVE-2026-38715 é uma falha de injeção de comandos (CWE-77) na função de visualização de logs dos roteadores industriais InHand Networks IR912 e IR915, que permite a atacantes remotos executar comandos arbitrários como root. Tem pontuação CVSS 3.1 de 9.8 (crítica), e o fabricante publicou um boletim de segurança.

A CVE-2026-38714 é uma falha de injeção de comandos (CWE-77) na função de configuração Python dos roteadores industriais InHand Networks IR912 e IR915. Um atacante remoto pode executar comandos arbitrários como root por meio de entrada manipulada, e o NVD atribui nota 9.8 (crítica). Não há exploração confirmada nas fontes consultadas.

A CVE-2026-54103 descreve uma falha de ausência de autenticação (CWE-306) no Electronic Protest Docketing System (EPDS) do GAO e no Electronic Docketing System (EDS) do CBCA, em que pedidos de troca de senha ao endpoint de API '/update-profile/N' não são autenticados. Um atacante remoto e não autenticado poderia alterar a senha de qualquer usuário, e a CNA classifica a falha como crítica (CVSS v3.1 9.8). Não há exploração confirmada nas fontes consultadas.

As versões 3.0.0 a 3.1.0 do Eclipse 4diac FORTE apresentam uma falha de use-after-free (CWE-416) no tratamento de comandos DELETE de conexão enviados à interface de gerenciamento. O NVD atribui nota 9.8 (CVSS v3.1), enquanto o CNA da Eclipse atribui 5.2 no CVSS v4.0. Não há exploração confirmada nas fontes consultadas.